《基于STAMP的航空安全理論與實(shí)踐》課件-第2章

第二章基于STPA方法的典型航空事故分析2.1民航航班客艙失壓事故分析2.2民航航班發(fā)動機(jī)失控事故分析2.3典型軍機(jī)墜機(jī)事故分析2.4某無人機(jī)被誘捕案例致因分析本章小結(jié)

2.1民航航班客艙失壓事故分析2.1.1事故簡述1990年的一天,某民航航班由A機(jī)場飛往B機(jī)場。在飛行大約13分鐘后,飛機(jī)駕駛艙的一部分擋風(fēng)玻璃脫落,巨大的壓力差導(dǎo)致機(jī)長大部分身體被吸出機(jī)外,一名空乘人員拼命地抱住已失去知覺、被嚴(yán)重凍傷的機(jī)長,更糟糕的是,機(jī)長面臨著極度缺氧的危險(xiǎn)。在這種情況下,副機(jī)長被迫在另一機(jī)場實(shí)施緊急迫降。最終,憑借著副機(jī)長的努力,飛機(jī)成功著陸,未造成人員死亡,包括機(jī)長在內(nèi)的所有機(jī)組人員都從傷病中恢復(fù)過來,機(jī)長更是在事故發(fā)生后的短短幾個(gè)月就重返工作崗位。

2.1.2基于STPA方法的安全性分析

1.構(gòu)建STAMP分層控制結(jié)構(gòu)

所有高空飛行都在機(jī)艙加壓的環(huán)境下進(jìn)行,以確保機(jī)組人員和乘客有足夠的可呼吸的氧氣。如果機(jī)艙內(nèi)的增壓系統(tǒng)發(fā)生故障,無論是由于增壓系統(tǒng)本身的故障,還是由于飛機(jī)內(nèi)部的結(jié)構(gòu)故障(例如窗戶的丟失),飛機(jī)都將面臨減壓情況。減壓的速度受到許多因素的影響,包括受壓空間與外部環(huán)境之間的壓差,以及對增壓系統(tǒng)或飛機(jī)結(jié)構(gòu)的破壞程度等。雖然快速減壓是一種嚴(yán)重且可能危及生命的危險(xiǎn),但一般不會立即對乘客和機(jī)組人員造成致命傷害。

在快速減壓過程中,飛機(jī)駕駛艙可能會出現(xiàn)混亂程度很高的情況,經(jīng)常充滿蒸汽、噪音和碎屑等。機(jī)組人員在應(yīng)對快速減壓場景時(shí),其操作技能的正確與否往往意味著一個(gè)飛

行事件和一個(gè)飛行事故之間的區(qū)別,嚴(yán)重操作差錯(cuò)甚至?xí)?dǎo)致飛機(jī)的損壞進(jìn)而威脅機(jī)組人員的生命。同時(shí),為了支持機(jī)組人員處理這一罕見但危險(xiǎn)的事件,并突出已確定的相互作

用可能導(dǎo)致不安全行為的潛在領(lǐng)域,需建立由許多機(jī)構(gòu)組成的控制結(jié)構(gòu),如圖2.1所示。

圖2.1某航班事故分層安全控制結(jié)構(gòu)

2.識別危險(xiǎn)

在STAMP分析中,危險(xiǎn)被定義為一個(gè)系統(tǒng)狀態(tài)或一系列條件,在特定的最不利環(huán)境條件下,危險(xiǎn)會導(dǎo)致事故或損失。根據(jù)STAMP框架,危險(xiǎn)是可以控制的,但也可能導(dǎo)致潛在的事故。在本案例中,潛在事故定義為機(jī)組人員對飛機(jī)快速減壓事件的反應(yīng)。

1)識別系統(tǒng)級危險(xiǎn)

在進(jìn)行基于STAMP的致因分析時(shí),首先要確定該研究涉及的具體系統(tǒng),然后通過相應(yīng)的分析判斷來識別系統(tǒng)中存在的主要危險(xiǎn),這些危險(xiǎn)造成的后果包括人員受傷或者死亡、設(shè)備結(jié)構(gòu)受損、環(huán)境受到污染等。

該航班事故涉及的系統(tǒng)主要為客機(jī)實(shí)體系統(tǒng)和乘員安全系統(tǒng)。由于這兩個(gè)系統(tǒng)由不同且獨(dú)立的管理者控制,因此可將它們看作兩個(gè)相互影響但獨(dú)立的系統(tǒng)。客機(jī)實(shí)體系統(tǒng)由歐

洲航空安全局控制飛機(jī)證書頒發(fā)以及審定過程;乘員安全系統(tǒng)由航空公司負(fù)責(zé)乘員(指乘客和機(jī)組人員)的人身安全。客機(jī)實(shí)體系統(tǒng)和乘員安全系統(tǒng)組合起來造成的事故(或者說損

失事件)可以定義為飛機(jī)受損導(dǎo)致的快速減壓事件使乘客死亡或受到傷害。

2)確定系統(tǒng)級安全約束

辨識系統(tǒng)和其結(jié)構(gòu)的危險(xiǎn)后,下一步的主要目標(biāo)是詳細(xì)說明防止危險(xiǎn)發(fā)生所必需的系統(tǒng)級安全需求和設(shè)計(jì)約束(即安全約束)。該事故的安全約束包括客機(jī)實(shí)體系統(tǒng)的安全約束和乘員安全系統(tǒng)的安全約束。

客機(jī)實(shí)體系統(tǒng)的安全約束如下:

(1)飛機(jī)擋風(fēng)玻璃的結(jié)構(gòu)強(qiáng)度達(dá)到要求。

(2)如果發(fā)生不可避免的快速減壓的情況,需保證飛行員氧氣供應(yīng)設(shè)備正常。

(3)飛行員能夠操縱飛機(jī)下降到安全高度,減少減壓事件帶來的影響。

乘員安全系統(tǒng)的安全約束如下:

(1)不能讓乘員長時(shí)間暴露于失壓條件下。

(2)一旦發(fā)生快速減壓事件,必須采取措施以快速恢復(fù)到正常壓力條件。

(3)必須采取可用的、有效的措施,保證飛行員能夠在減壓事件中正常操作。

3)實(shí)施安全約束的安全控制結(jié)構(gòu)

下面主要對已構(gòu)建的分層安全控制結(jié)構(gòu)中的相關(guān)層級進(jìn)行分析,以了解其安全約束。

(1)監(jiān)管機(jī)構(gòu)層級。

安全約束:監(jiān)管機(jī)構(gòu)嚴(yán)格按照規(guī)章制度向具備資質(zhì)的航空公司頒發(fā)AOC。

(2)航空公司層級。

安全約束:航空公司具備足夠的資質(zhì),擁有科學(xué)的管理水平。

(3)飛機(jī)層級。

安全約束:飛機(jī)能夠正常進(jìn)行信息反饋,且保證反饋的信息準(zhǔn)確。

(4)機(jī)組人員層級。

安全約束:機(jī)組人員具備能夠應(yīng)對各種突發(fā)情況的能力水平。

(5)空中交通管制/空中交通管理層級。

安全約束:能夠及時(shí)對機(jī)組人員提供幫助,并引導(dǎo)和指揮其他飛機(jī)避讓。

(6)機(jī)身制造商層級。

安全約束:制造商設(shè)計(jì)制造的飛機(jī)功能完整。

(7)其他飛機(jī)層級。

安全約束:能夠及時(shí)收到ATC/ATM管制中心提供的信息,并及時(shí)采取正確的應(yīng)對措施。

3.識別不安全控制行為

機(jī)組人員與飛機(jī)之間的四項(xiàng)控制行為包括:

(1)確保機(jī)艙內(nèi)有足夠的壓力。

(2)確保機(jī)組人員有充足的氧氣。

(3)確保飛機(jī)下降至10000英尺。

(4)完成QRH(快速參考手冊)程序。

任何一種控制行為在快速減壓過程中出現(xiàn)差錯(cuò),都可能最終導(dǎo)致缺氧,造成潛在的致命后果。使用這四個(gè)控制行為共有可能生成21個(gè)不安全控制行為,如表2.1所示。

隨后將生成的不安全控制行為映射到控制回路中,如圖2.2所示。

圖2.2的左下角顯示了延遲操作,如延遲關(guān)閉壓力閥、啟動下降時(shí)機(jī)太晚、QRH檢查太慢等。

圖2.2機(jī)組人員和飛機(jī)之間的控制回路

需要強(qiáng)調(diào)的是,圖2.1中所示的分層安全控制結(jié)構(gòu)是基于STAMP方法中給出的假設(shè)而構(gòu)建的,不同的假設(shè)可能產(chǎn)生不同的控制結(jié)構(gòu)?？刂平Y(jié)構(gòu)中的每一個(gè)不安全控制行為都可能造成嚴(yán)重后果,因此應(yīng)該對每一個(gè)潛在的不安全控制行為實(shí)施安全約束。這對于由錯(cuò)誤的心理模型假設(shè)或缺乏明顯的緊急警告而導(dǎo)致機(jī)組人員不能正確處理故障的事故可能特別有用。

4.致因因素分析及安全約束生成

通過對與事故有關(guān)的不安全控制行為進(jìn)行識別,再根據(jù)相關(guān)不安全場景就可以得到事故發(fā)生的根本原因。若控制回路中的安全約束未被有效實(shí)施,則會發(fā)生相對應(yīng)的不安全控制行為。針對此次事故,繼續(xù)進(jìn)行各層次結(jié)構(gòu)的控制回路分析,得到的事故原因主要有以下幾個(gè)方面:

1)機(jī)械原因

該型號飛機(jī)的擋風(fēng)玻璃的設(shè)計(jì)方式為由內(nèi)往外裝,當(dāng)固定擋風(fēng)玻璃的螺栓失效時(shí),玻璃會由于巨大的壓力差而脫落。

2)人為因素

(1)錯(cuò)誤螺栓的選擇和使用。

(2)使用不合適的安裝設(shè)備。

(3)維修工作在昏暗條件下進(jìn)行。

(4)機(jī)庫大門已經(jīng)關(guān)閉,導(dǎo)致工作梯無法放置于機(jī)頭前方,維修人員只能從側(cè)面進(jìn)行安裝工作,不能發(fā)現(xiàn)安裝好的螺栓與正常情況的差異。

3)組織管理

(1)未進(jìn)行工作質(zhì)量檢驗(yàn)。

(2)航空公司未進(jìn)行該項(xiàng)工作的反饋。

(3)未定期對維修人員進(jìn)行培訓(xùn)和測試。

5.總結(jié)

通過對某民航航班客艙失壓事故進(jìn)行基于STAMP的致因分析,可以發(fā)現(xiàn)這種方法對復(fù)雜系統(tǒng)的分析結(jié)果較傳統(tǒng)方法的分析結(jié)果更為先進(jìn),如在本事故中飛機(jī)和機(jī)組人員的控

制回路中,被控過程即飛機(jī)存在高度表、近地預(yù)警系統(tǒng)、高度(壓力)報(bào)警系統(tǒng)這三個(gè)系統(tǒng)都會導(dǎo)致潛在故障的特點(diǎn),其一直對飛機(jī)的安全產(chǎn)生重要影響。

從分析過程可以看出,民機(jī)以經(jīng)濟(jì)性為目標(biāo),安全性設(shè)計(jì)和管理也主要是考慮到整體效益,通過總結(jié)基于STAMP的事故致因分析流程,并將其作為對軍機(jī)事故的致因分析方法,可以指導(dǎo)軍機(jī)的安全性分析設(shè)計(jì)。

本例重點(diǎn)分析了使用維修階段的安全性,對設(shè)計(jì)制造領(lǐng)域涉及較少。對于軍方而言,不僅僅需要關(guān)心軍機(jī)的使用維護(hù)階段,隨著新裝備的大量研制和列裝,更要關(guān)注設(shè)計(jì)制造領(lǐng)域。因此,需在此基礎(chǔ)上進(jìn)一步研究設(shè)計(jì)制造方法的安全性或者由于制造原因引起的安全事故分析流程。

2.2民航航班發(fā)動機(jī)失控事故分析

2.2.1事故簡述1997年8月6日,某民航航班從某國一機(jī)場飛往另一國家,機(jī)上有乘客237人,機(jī)組人員17人。駕駛飛機(jī)的機(jī)長是前空軍飛行員,有駕駛波音747飛機(jī)安全飛行6年的經(jīng)驗(yàn),在事故發(fā)生的幾個(gè)月前,因在飛機(jī)發(fā)動機(jī)失控的情況下安全降落一架747飛機(jī)而得到了航空公司的表彰。

2.2.2基于STPA方法的安全性分析

1.構(gòu)建STAMP分層控制結(jié)構(gòu)

依據(jù)航空系統(tǒng)管理機(jī)制,建立航空系統(tǒng)的整體控制結(jié)構(gòu),以便于了解各部門之間的聯(lián)系。結(jié)構(gòu)圖如圖2.3所示。

圖2.3航空系統(tǒng)控制結(jié)構(gòu)

2.識別事故和危險(xiǎn)

1)確定系統(tǒng)級危險(xiǎn)

在確定系統(tǒng)的安全控制結(jié)構(gòu)后,就可分析系統(tǒng)中存在的潛在控制缺陷,即分析對事故施加的安全約束的缺失有哪些。本事故中表現(xiàn)出的系統(tǒng)災(zāi)害是飛機(jī)撞上了山腰。

在該航班事故中,經(jīng)事后的調(diào)查顯示,在事故發(fā)生過程中,出現(xiàn)了如下幾種情況:

(1)該航班機(jī)組人員疲勞駕駛。

(2)機(jī)長在事發(fā)時(shí),未按照手動降落操作程序執(zhí)行。

(3)儀表著陸系統(tǒng)故障。

(4)機(jī)場最低安全高度警告系統(tǒng)不能準(zhǔn)確工作。

(5)該航班機(jī)組使用了過期的飛行圖,錯(cuò)誤估計(jì)了安全飛行高度。

(6)機(jī)組人員未能依靠測距儀辨別跑道位置。

3)識別不安全控制行為

在約束識別的基礎(chǔ)上,下一步是根據(jù)事故相關(guān)信息,識別每一個(gè)控制層級和涉及的參與方在事故中體現(xiàn)的失效行為。根據(jù)控制結(jié)構(gòu)圖,從上至下,依次分析每個(gè)控制層級出現(xiàn)的問題,即分析它們發(fā)生了哪些與其安全約束相悖的失效行為。

3.致因因素分析及安全約束生成

STAMP模型從系統(tǒng)控制學(xué)角度分析事故,即主要從組織管理、技術(shù)方法、參與人員、交互反饋、環(huán)境背景等方面入手進(jìn)行分析。據(jù)此,從以上幾個(gè)方面出發(fā),將STAMP模型的分析結(jié)論進(jìn)行分類匯總,如表2.2所示。

2.3典型軍機(jī)墜機(jī)事故分析

2.3.1事故簡述2010年11月17日晚,某國空軍的兩架戰(zhàn)機(jī)組織編隊(duì)飛行訓(xùn)練,在順利完成指定科目后開始返航。在當(dāng)晚19時(shí)40分左右,其中一名飛行員駕駛的某型戰(zhàn)機(jī)突然失去了聯(lián)系,從雷達(dá)屏幕上消失。伴飛的另一名飛行員在完成了空中加油后,嘗試對失蹤的某型戰(zhàn)機(jī)進(jìn)行搜尋。同時(shí),該國空軍及相關(guān)部門立即啟動應(yīng)急救援程序,迅速派出救援直升機(jī)以及一架運(yùn)輸機(jī)對失事區(qū)域進(jìn)行連夜空中搜尋。

由于失事范圍過于巨大,加之地形復(fù)雜和環(huán)境條件惡劣,搜尋工作一直未取得進(jìn)展。直到第二天早晨,救援直升機(jī)才發(fā)現(xiàn)了失蹤的戰(zhàn)機(jī)的部分殘骸,并且初步確定了飛機(jī)墜落的地點(diǎn)。隨著搜救工作的進(jìn)一步展開,救援人員發(fā)現(xiàn)了越來越多的戰(zhàn)機(jī)殘骸,同時(shí),飛行員的飛行服的殘片接連被發(fā)現(xiàn),這一系列的證據(jù)表明飛行員已經(jīng)死亡。

2.3.2典型軍機(jī)生命保障系統(tǒng)STPA分析

1.構(gòu)建STAMP分層控制結(jié)構(gòu)

當(dāng)代先進(jìn)戰(zhàn)機(jī)在最初進(jìn)行設(shè)計(jì)論證時(shí),對機(jī)體中保證飛行員處于正常生理環(huán)境的系統(tǒng)或部件尤為重視,飛行員的生命也由其提供支持。一旦飛行員在駕駛戰(zhàn)機(jī)過程中某一部件

發(fā)生故障,將會直接影響到最后能否遂行任務(wù),甚至于威脅到飛行員的生命。當(dāng)飛機(jī)的制氧過程中斷時(shí),飛行員會直接面臨缺氧的風(fēng)險(xiǎn)。而制氧過程受到許多因素的影響,飛機(jī)生命保障系統(tǒng)中與制氧有關(guān)聯(lián)的任一環(huán)節(jié)出現(xiàn)問題,都可能使整個(gè)系統(tǒng)癱瘓,導(dǎo)致其無法繼續(xù)工作。如果發(fā)生上述情況,至關(guān)重要的是采取必要措施以確保有充足的氧氣供飛行員呼吸。若已確定飛機(jī)失去了為飛行員繼續(xù)提供氧氣的能力,飛行員不得不面臨跳傘的選擇。

為了發(fā)現(xiàn)此次軍機(jī)墜毀事故中存在的不安全控制行為并分析事故致因,在當(dāng)前系統(tǒng)研究中,主要確定了7個(gè)主要的利益相關(guān)者:高空抗荷服、飛行員、引氣系統(tǒng)、環(huán)控系統(tǒng)、機(jī)載制氧系統(tǒng)、備份制氧系統(tǒng)、應(yīng)急制氧系統(tǒng)。各層級控制關(guān)系以及回路如圖2.4所示。

圖2.4某型軍機(jī)生命保障系統(tǒng)分層安全控制結(jié)構(gòu)

2.識別事故和危險(xiǎn)

1)識別系統(tǒng)級危險(xiǎn)

根據(jù)STAMP致因分析方法,首先要識別造成此次軍機(jī)缺氧事故的系統(tǒng),為此將某型軍機(jī)的生命保障系統(tǒng)作為研究對象,其組成主要包括高空抗荷服、飛行員、引氣系統(tǒng)、環(huán)控

系統(tǒng)、機(jī)載制氧系統(tǒng)、備份制氧系統(tǒng)以及應(yīng)急制氧系統(tǒng)。生命保障系統(tǒng)的事故可以定義為生命保障系統(tǒng)失效,使飛行員缺氧導(dǎo)致其失去對戰(zhàn)機(jī)的操控能力,本次事故最終結(jié)果表現(xiàn)

為機(jī)毀人亡。

2)確定系統(tǒng)級安全約束

生命保障系統(tǒng)的安全約束包括:

(1)飛機(jī)制氧功能始終處于正常水平。

(2)必須有報(bào)警或其他措施來提醒以及保護(hù)飛行員的生命安全。

(3)不能長時(shí)間使飛行員處于缺氧條件。

3)實(shí)施安全約束的安全控制結(jié)構(gòu)

(1)高空抗荷服層級。

安全約束:為飛行員在恰當(dāng)時(shí)機(jī)加壓,調(diào)整呼吸。

(2)飛行員層級。

安全約束:飛行員正確操作,避免誤操作導(dǎo)致缺氧。

(3)引氣系統(tǒng)層級。

安全約束:引氣過程順利,完成指定功能。

(4)環(huán)控系統(tǒng)層級。

安全約束:使駕駛艙及各電子艙保持通風(fēng)。

(5)機(jī)載制氧系統(tǒng)層級。

安全約束:必須保證分子篩制氧過程正常。

(6)備份制氧系統(tǒng)層級。

安全約束:在第一氧源失效后,能自動進(jìn)行補(bǔ)氧。

(7)應(yīng)急制氧系統(tǒng)層級。

安全約束:能保證飛行員正常操作且工作正常以應(yīng)對突發(fā)情況。

3.識別不安全控制行為

1)高空抗荷服與飛行員控制回路的不安全控制行為

高空抗荷服與飛行員控制回路的不安全控制行為如表2.3所示。

2)引氣系統(tǒng)與環(huán)控系統(tǒng)控制回路的不安全控制行為

引氣系統(tǒng)與環(huán)控系統(tǒng)控制回路的不安全控制行為如表2.4所示。

3)機(jī)載制氧系統(tǒng)與備份制氧系統(tǒng)控制回路的不安全控制行為

機(jī)載制氧系統(tǒng)與備份制氧系統(tǒng)控制回路的不安全控制行為如表2.5所示。

4)備份制氧系統(tǒng)與應(yīng)急制氧系統(tǒng)控制回路的不安全控制行為

備份制氧系統(tǒng)與應(yīng)急制氧系統(tǒng)控制回路的不安全控制行為如表2.6所示。

2.3.3典型軍機(jī)研制及組織管理系統(tǒng)STPA分析

1.構(gòu)建STAMP分層控制結(jié)構(gòu)

根據(jù)某型軍機(jī)研制管理機(jī)制,某國空軍首先提出“先進(jìn)戰(zhàn)術(shù)戰(zhàn)斗機(jī)”(ATF)項(xiàng)目需求,向工業(yè)界招標(biāo),并發(fā)布了研制招標(biāo)書。招標(biāo)書中只給出了關(guān)鍵性能參數(shù)的范圍而并未指定

硬性指標(biāo),且允許某些參數(shù)最終低于或高于給定范圍,只要未達(dá)標(biāo)的參數(shù)能通過其他性能參數(shù)的允許或者是整個(gè)系統(tǒng)的效能能夠得到增強(qiáng)即可,此項(xiàng)目的研發(fā)由防務(wù)承包商來

完成。

某國承包商(即研制單位)在完成了某型軍機(jī)ATF項(xiàng)目后,將定型生產(chǎn)的某型軍機(jī)交付軍方使用,由軍方對某型軍機(jī)的使用進(jìn)行規(guī)劃和日常飛行訓(xùn)練管理。為了研究和分析某

型軍機(jī)在研制及組織管理層面上潛在的不安全條件,建立了由某空軍裝備部門、項(xiàng)目管理辦公室、飛機(jī)研制單位、飛機(jī)設(shè)計(jì)團(tuán)隊(duì)、某型飛機(jī)、飛行員、飛行基地、飛行訓(xùn)練管理單位組成的分層安全控制結(jié)構(gòu),如圖2.5所示。

圖2.5某型軍機(jī)研制及組織管理系統(tǒng)分層安全控制結(jié)構(gòu)

2.識別事故和危險(xiǎn)

1)識別系統(tǒng)級危險(xiǎn)

下面針對某型軍機(jī)研制及組織管理系統(tǒng)進(jìn)行STAMP分析。其組成主要包括某空軍裝備部門、項(xiàng)目管理辦公室、飛機(jī)研制單位、飛機(jī)設(shè)計(jì)團(tuán)隊(duì)、某型飛機(jī)、飛行基地以及飛行訓(xùn)練管理單位。

某型軍機(jī)研制及組織管理系統(tǒng)面臨的危險(xiǎn)主要包括飛機(jī)研制不合理、飛機(jī)設(shè)計(jì)有缺陷以及飛行員能力水平欠缺等。

2)確定系統(tǒng)級安全約束

某型軍機(jī)研制及組織管理系統(tǒng)的安全約束如下:

(1)某型軍(2)飛機(jī)結(jié)構(gòu)及相關(guān)系統(tǒng)設(shè)計(jì)合理。

(3)某型軍機(jī)能夠滿足用戶(即某空軍)的需求。

(4)空軍飛行訓(xùn)練組織體系完善。機(jī)按計(jì)劃要求研制,達(dá)到其技術(shù)標(biāo)準(zhǔn)。

3)實(shí)施安全約束的安全控制結(jié)構(gòu)

(1)某空軍裝備部門層級。

安全約束:必須下發(fā)相關(guān)政策,從而為項(xiàng)目提供支持。

(2)項(xiàng)目管理辦公室層級。

安全約束:確保項(xiàng)目采辦過程正常進(jìn)行,控制項(xiàng)目完成進(jìn)度。

(3)飛機(jī)研制單位層級。

安全約束:了解用戶需求,設(shè)計(jì)的飛機(jī)功能完善、安全性高。

(4)飛機(jī)設(shè)計(jì)團(tuán)隊(duì)層級。

安全約束:設(shè)計(jì)合理,確保安全。

(5)某型飛機(jī)層級。

安全約束:能夠正常飛行,完成規(guī)定功能。

(6)飛行員層級。

安全約束:飛行員技術(shù)水平合格,心理素質(zhì)好。

(7)飛行基地層級。

安全約束:組訓(xùn)方式合理。

(8)飛行訓(xùn)練管理單位層級。

安全約束:訓(xùn)練管理實(shí)施科學(xué),及時(shí)采取有效措施管控危險(xiǎn)訓(xùn)練情況。

3.識別不安全控制行為

1)某空軍裝備部門與項(xiàng)目管理辦公室控制回路的不安全控制行為

某空軍裝備部門與項(xiàng)目管理辦公室控制回路的不安全控制行為如表2.7所示。

2)項(xiàng)目管理辦公室與飛機(jī)研制單位控制回路的不安全控制行為

項(xiàng)目管理辦公室與飛機(jī)研制單位控制回路的不安全控制行為如表2.8所示。

3)飛機(jī)研制單位與飛機(jī)設(shè)計(jì)團(tuán)隊(duì)控制回路的不安全控制行為

飛機(jī)研制單位與飛機(jī)設(shè)計(jì)團(tuán)隊(duì)控制回路的不安全控制行為如表2.9所示。

4)飛行訓(xùn)練管理單位與飛行基地控制回路的不安全控制行為

飛行訓(xùn)練管理單位與飛行基地控制回路的不安全控制行為如表2.10所示。

5)飛行基地與飛行員控制回路的不安全控制行為

飛行基地與飛行員控制回路的不安全控制行為如表2.11所示。

6)飛行員與某型飛機(jī)控制回路的不安全控制行為

飛行員與某型飛機(jī)控制回路的不安全控制行為如表2.12所示。

7)飛機(jī)設(shè)計(jì)團(tuán)隊(duì)與某型飛機(jī)控制回路的不安全控制行為

飛機(jī)設(shè)計(jì)團(tuán)隊(duì)與某型飛機(jī)控制回路的不安全控制行為如表2.13所示。

2.3.4事故致因因素分析

通過分析某型軍機(jī)的生命保障系統(tǒng)和研制及組織管理系統(tǒng)的內(nèi)部控制關(guān)系,對兩個(gè)系統(tǒng)模型中各層次的控制回路存在的不安全控制行為進(jìn)行了詳細(xì)梳理,發(fā)現(xiàn)了與事故有直接

聯(lián)系的不安全控制行為。針對這些不安全控制行為,總結(jié)出事故原因如下:

1.機(jī)械原因

(1)發(fā)動機(jī)引氣系統(tǒng)故障。發(fā)動機(jī)引氣系統(tǒng)故障直接導(dǎo)致環(huán)境控制系統(tǒng)停止向機(jī)載制氧系統(tǒng)提供壓力,導(dǎo)致機(jī)載制氧系統(tǒng)失效,輸送至飛行員氧氣面罩的氣體壓力減小,導(dǎo)致

飛行員呼吸困難。

(2)缺少備用氧源。根源為設(shè)計(jì)團(tuán)隊(duì)未將備份制氧系統(tǒng)列為影響飛行安全的關(guān)鍵設(shè)備,其次是軍方未采納承包商提出的加裝備份制氧系統(tǒng)的方案?，F(xiàn)代軍機(jī)以機(jī)載制氧系統(tǒng)

輸出的富氧氣體作為飛行員呼吸用的主要氧源。為提高系統(tǒng)可靠性,預(yù)防機(jī)載制氧系統(tǒng)失效導(dǎo)致無氧可用的情況發(fā)生,通常以高壓氧瓶儲氧作為第二氧源,為主氧備份。

(3)應(yīng)急供氧系統(tǒng)圓環(huán)所處位置不方便。應(yīng)急供氧系統(tǒng)圓環(huán)位于座椅下部靠后的位置,當(dāng)出現(xiàn)緊急情況要拉動時(shí),非常不利于飛行員提拉操作。

(4)飛行員所穿抗荷背心存在閥門設(shè)計(jì)缺陷?？购杀承脑诟咚亠w行時(shí)對飛行員加壓,防止上身血液流向下身并積聚,導(dǎo)致飛行員腦部缺氧。在調(diào)查中發(fā)現(xiàn)該背心的一個(gè)閥門存

在設(shè)計(jì)缺陷,會在不該加壓時(shí)向飛行員增加壓力,導(dǎo)致飛行員呼吸困難,出現(xiàn)缺氧情況。

(5)未采取有效手段(如安裝傳感器等)對制氧過程中的實(shí)時(shí)氧氣濃度進(jìn)行監(jiān)控。事故證明當(dāng)機(jī)載制氧系統(tǒng)失效時(shí),飛行員應(yīng)在第一時(shí)間得到警告,掌握故障情況。

2.人為原因

人為原因主要是針對飛行員的注意力局限。所謂注意力局限,就是說飛行員在緊急狀況下不能將注意力分配到所有的事物上。飛行員在機(jī)載制氧系統(tǒng)失效時(shí)會激活應(yīng)急供氧系

統(tǒng),呼吸困難也會促使飛行員開啟應(yīng)急供氧系統(tǒng),但事后的調(diào)查發(fā)現(xiàn)應(yīng)急供氧系統(tǒng)并未被開啟,這可能是飛行員在呼吸困難時(shí)注意力受限,將注意力放在了恢復(fù)氧氣面罩氧氣的恢復(fù)供應(yīng)上。其次,在飛行員經(jīng)歷了可辨別的每秒45度的機(jī)動后,由于注意力局限導(dǎo)致其并未發(fā)現(xiàn)這一飛行狀態(tài),從而導(dǎo)致其視野喪失,延遲了將飛機(jī)調(diào)整至正常飛行姿態(tài)的時(shí)機(jī)。另外,部分某型飛機(jī)飛行員在反饋缺氧事件時(shí),信息不夠準(zhǔn)確,靠主觀直覺進(jìn)行判斷。

3.技術(shù)層面和組織管理方面的原因

在這起事故中,設(shè)計(jì)層為了節(jié)約項(xiàng)目經(jīng)費(fèi),對飛機(jī)的安全性設(shè)計(jì)不夠重視,對裝備的使用環(huán)境研究不足,未按照適航要求進(jìn)行設(shè)計(jì)。管理層方面存在對飛行員駕駛某型飛機(jī)高空飛行缺氧情況分析以及模擬訓(xùn)練不足等問題,同時(shí)還有對某型飛機(jī)飛行員的生理情況監(jiān)控不及時(shí),未充分分析引氣系統(tǒng)故障影響,未將備用氧源列為關(guān)鍵設(shè)備,抗荷背心設(shè)計(jì)缺陷監(jiān)管不足等方面的問題。另外,飛行基地在飛行員執(zhí)行任務(wù)前未正確地評估訓(xùn)練風(fēng)險(xiǎn),及時(shí)發(fā)現(xiàn)存在的問題。

4.總結(jié)

通過對某型軍機(jī)墜機(jī)事故構(gòu)建STAMP模型進(jìn)行致因分析,得出的事故致因與某軍事故調(diào)查結(jié)論相比較為接近,說明基于STAMP的致因分析在軍機(jī)層面上同樣有效,可以作為一種分析軍用飛機(jī)航空事故原因的有效手段和方法。需要注意的是,相對于民機(jī)來講,軍機(jī)的主要目的是遂行作戰(zhàn)任務(wù),具有特定的結(jié)構(gòu)設(shè)計(jì)、生產(chǎn)研制流程以及組織管理體系,在構(gòu)建系統(tǒng)模型時(shí)必須要將其考慮在內(nèi)。

在設(shè)計(jì)制造領(lǐng)域,應(yīng)該關(guān)注軍機(jī)的全系統(tǒng)、全過程、全壽命的各個(gè)階段,從最初軍機(jī)的設(shè)計(jì)和制造到接下來軍機(jī)的使用和管理,需要對其進(jìn)行全方位的分析,尤其是要注意各環(huán)

節(jié)、系統(tǒng)、因素之間的交聯(lián)關(guān)系,控制過程稍有差錯(cuò),便易導(dǎo)致事故。

隨著軍用航空裝備復(fù)雜程度的增加和信息化水平的提升,新型軍用飛機(jī)在作戰(zhàn)效能提高的同時(shí),并未帶來安全性的提升。因此,需要發(fā)展新的理論方法(如軍機(jī)適航理論)來預(yù)防和緩解軍機(jī)事故的發(fā)生。

2.4某無人機(jī)被誘捕案例致因分析

2.4.1事件簡介2011年12月4日,某國宣布其防空部隊(duì)在與他國交界的東部邊境地區(qū)成功捕獲了一架入侵的隱身無人偵察機(jī),同時(shí)表示該機(jī)只是輕微受損,該架無人機(jī)被俘獲時(shí)正承擔(dān)著某國中央情報(bào)局(CIA)的偵察任務(wù)。12月9日,該國展示了被捕獲的無人機(jī),展示中的機(jī)體相當(dāng)完整,幾乎沒有損毀。

通過以上對此次無人機(jī)事故的簡要描述,采用STEP模型,將此次事故進(jìn)行圖形描述,具體情況如圖2.6所示。圖2.6某軍無人機(jī)被他國誘捕事故過程簡述圖

2.4.2無人機(jī)系統(tǒng)控制結(jié)構(gòu)分析

在前文基本了解事故發(fā)生過程,并采用STEP模型對事故進(jìn)行STEP圖形描述的基礎(chǔ)上,首先構(gòu)建某軍無人機(jī)的系統(tǒng)控制結(jié)構(gòu),之后從STEP模型所描述的處于非正常工作狀態(tài)的事件中識別系統(tǒng)危險(xiǎn),再根據(jù)系統(tǒng)危險(xiǎn)進(jìn)行系統(tǒng)安全約束和安全性需求的識別,構(gòu)建出實(shí)施安全約束的安全控制結(jié)構(gòu),最后按照STAMP模型中的四類不安全控制行為找出此次典型事故中的不安全控制行為,得出不安全致因場景(因素),闡明事故原因。

根據(jù)某軍無人機(jī)的管理機(jī)制,構(gòu)建出的無人機(jī)系統(tǒng)控制結(jié)構(gòu)圖如圖2.7所示。

圖2.7無人機(jī)系統(tǒng)控制結(jié)構(gòu)圖

2.4.3系統(tǒng)危險(xiǎn)識別

系統(tǒng)級事故是相對的,把每一個(gè)高層的系統(tǒng)與低層的系統(tǒng)進(jìn)行對比,就可以把相對高層的系統(tǒng)當(dāng)作是系統(tǒng),低層的當(dāng)作是子系統(tǒng)。系統(tǒng)級事故就是指發(fā)生在系統(tǒng)層面上的事故,

往往會很明顯地暴露出來,它常常是由它的子系統(tǒng)的事故引起的。危險(xiǎn)也可以照此定義。

危險(xiǎn)(Hazard)是指某事物存在遭受損失、傷害、不利或毀滅的可能狀態(tài)。系統(tǒng)級危險(xiǎn)是指系統(tǒng)存在遭受損失、傷害、不利或毀滅的可能狀態(tài)?？梢?危險(xiǎn)強(qiáng)調(diào)的是發(fā)生這種不利情況的概率高低。在STAMP分析中,危險(xiǎn)被定義為一個(gè)系統(tǒng)狀態(tài)或一系列條件,在特定的最不利環(huán)境條件下,會導(dǎo)致事故或損失,根據(jù)STAMP框架,安全問題被看成是一個(gè)控制問題,但控制不好也有可能導(dǎo)致潛在的事故。

對于無人機(jī)組成的系統(tǒng)來說,它的最高級系統(tǒng)———無人機(jī)系統(tǒng)(UAS)就包括了無人飛行器(UAV)、指揮和控制數(shù)據(jù)鏈、通信系統(tǒng)、UAV控制站(UCS)及其他用于起飛和降落的輔助部件。因此,系統(tǒng)級事故不再僅僅表現(xiàn)為無人飛行器的墜毀、碰撞等,還有其他部件或者系統(tǒng)的事故。通過分析得出無人機(jī)系統(tǒng)主要存在五類危險(xiǎn),如表2.14所示。

在此典型事故案例中,系統(tǒng)危險(xiǎn)就是上述無人機(jī)系統(tǒng)五類危險(xiǎn)中的第二類危險(xiǎn)。在一定程度上,還造成了第五類危險(xiǎn)。將STEP分析結(jié)果和危險(xiǎn)識別標(biāo)準(zhǔn)結(jié)合起來,可以看出

有幾個(gè)不正常的事件(即危險(xiǎn)):

(1)某國對無人機(jī)的通信進(jìn)行干擾,給無人機(jī)提供了虛假信息。

(2)飛機(jī)操縱員失去了無人機(jī)的控制權(quán)。

(3)無人機(jī)控制系統(tǒng)軟件被某國下達(dá)指令,按照虛假信息指令飛抵指定機(jī)場。

2.4.4系統(tǒng)安全性需求和安全約束識別

基于STAMP模型的系統(tǒng)安全性需求和安全約束識別首先應(yīng)明確分析對象,在無人機(jī)事故中,需要分析的對象有三類:

①人,主要指飛行指揮員、飛行操縱員和地面保障人員等;

②無人機(jī),主要包括子系統(tǒng)的硬件和軟件;

③飛行環(huán)境。

根據(jù)以上分析對象以及對無人機(jī)事故的了解掌握,可以得出分析對象的安全性需求和安全約束如圖2.8所示。

圖2.8無人機(jī)系統(tǒng)的安全性需求和安全約束

要預(yù)防此次飛行事故需要以下的安全約束:

(1)飛行操縱員實(shí)時(shí)注意無人機(jī)的通信鏈路系統(tǒng)是否斷開。

(2)無人機(jī)控制系統(tǒng)在與自身系統(tǒng)斷開后,自動開啟自毀系統(tǒng)。

2.4.5實(shí)施安全約束的安全控制結(jié)構(gòu)分析

根據(jù)STAMP理論,需要建立無人機(jī)的控制結(jié)構(gòu)圖?？刂平Y(jié)構(gòu)圖一個(gè)最大的優(yōu)點(diǎn)是能夠很清晰明了地描述系統(tǒng),很容易看出因?yàn)槟膫€(gè)部件約束失效而導(dǎo)致了意外的發(fā)生。某軍

對無人機(jī)的控制結(jié)構(gòu)圖如圖2.9所示。

圖2.9某軍對無人機(jī)的控制結(jié)構(gòu)圖

2.4.6導(dǎo)致危險(xiǎn)的不安全控制行為分析

在運(yùn)用STAMP分析方法時(shí),非常重要的一步是評估在系統(tǒng)設(shè)計(jì)時(shí)采取的控制行為,以確定可能會導(dǎo)致危險(xiǎn)的不安全控制行為,在實(shí)際過程中識別系統(tǒng)中存在的不安全控制行為時(shí),通常有四種形式:

(1)發(fā)出不正確或?qū)Π踩杏绊懙目刂泼睢?/p>

(2)不能實(shí)施所需要的安全控制行動。

(3)控制命令發(fā)出的時(shí)機(jī)不恰當(dāng)。

(4)控制過程停止(結(jié)束)得太早或?qū)嵤r(shí)間太長。

通過前文分析發(fā)現(xiàn)無人機(jī)系統(tǒng)主要存在五類危險(xiǎn),接下來就每一類危險(xiǎn)源來分析其不安全控制行為。

1.無人機(jī)空中相撞

無人機(jī)空中相撞的不安全控制行為如表2.15所示。

為避免無人機(jī)空中相撞,應(yīng)采取的控制行動有:

(1)確保無人機(jī)不偏離預(yù)定的飛行航線或飛行高度。

(2)確保飛行前的航路規(guī)劃沒有問題、無人機(jī)具有較強(qiáng)的自主決策能力。

(3)確保無人機(jī)上安裝的傳感器沒有故障或者失效。

表2.15中列舉了空中相撞的不安全控制行為,接下來將其應(yīng)用于控制回路,如圖2.10所示。

圖2.10空中相撞不安全控制行為圖

2.無人機(jī)被誘捕事件

將圖2.7與無人機(jī)被誘捕事件對照,可以把某軍的無人機(jī)系統(tǒng)控制結(jié)構(gòu)圖進(jìn)行簡化,如圖2.11所示。

根據(jù)圖2.11構(gòu)建的控制結(jié)構(gòu),依次考慮典型事故案例中必須實(shí)施的所有控制行動,從而確定涉及的所有不安全控制行為,并將它們作為系統(tǒng)中潛在的故障源。

圖2.11簡化的無人機(jī)系統(tǒng)控制結(jié)構(gòu)圖

根據(jù)誘捕事件的簡要過程,將控制行動主要分為以下三大類:

(1)發(fā)現(xiàn):確保無人機(jī)不被敵方雷達(dá)發(fā)現(xiàn)。

(2)干擾:確保無人機(jī)和GPS衛(wèi)星連接正常,地面指揮控制站能收到無人機(jī)的相關(guān)狀態(tài)信息,確保地面指揮控制站能及時(shí)向無人機(jī)輸送控制指令。

(3)接管:確保飛行指揮員對無人機(jī)的控制權(quán),確保無人機(jī)嚴(yán)格按照控制指令進(jìn)行飛行。

誘捕事件中具體的不安全控制行為如表2.16所示。

將上述的不安全控制行為應(yīng)用于簡化后的無人機(jī)控制圖,如圖2.12所示。

圖2.12誘捕事件中的不安全控制行為圖

將前文分析的誘捕事件中的不安全控制行為與此次某軍無人機(jī)被他國誘捕事故過程對應(yīng)起來,將不安全控制行為應(yīng)用于某軍對無人機(jī)的控制圖,得出如圖2.13的結(jié)果。

圖2.13某軍對無人機(jī)的不安全控制行為圖

在此次事件中,發(fā)生的不安全控制行為主要是:

(1)某軍地面站無法獲得無人機(jī)的狀態(tài)信息,從而失去了對無人機(jī)的控制權(quán)。

(2)空地通信設(shè)備阻斷了無人機(jī)和地面指揮站之間的通信。

(3)無人機(jī)處于失控狀態(tài)。

3.無人機(jī)可控條件下的墜毀事件

防墜毀事件中主要的控制行動有:

(1)在無人機(jī)上安裝防墜毀裝置,并確保其在關(guān)鍵時(shí)刻能正常工作。

(2)確保傳感器能及時(shí)、準(zhǔn)確地發(fā)現(xiàn)數(shù)據(jù)(姿態(tài)信息)的大幅度變化。

(3)確保無人機(jī)具有自動避障功能。

(4)確保執(zhí)行機(jī)構(gòu)不發(fā)生異常情況。

墜毀事件中的不安全控制行為如圖2.14所示,主要有:

(1)無人機(jī)上未加裝防墜毀裝置。

(2)無人機(jī)操縱人員注意力不集中。

(3)設(shè)計(jì)時(shí)考慮防墜毀因素少。

(4)傳感器故障,對數(shù)據(jù)變化不敏感。

(5)執(zhí)行機(jī)構(gòu)未在無人機(jī)飛行前進(jìn)行檢查。

圖2.14墜毀事件中的不安全控制行為

4.無人機(jī)事故所造成的任務(wù)終止、環(huán)境污染等

對于此類事件,一般都不會產(chǎn)生很大的危險(xiǎn),只會導(dǎo)致一些活動的結(jié)束。對于此類事件,我們需要做的就是盡量避免前三類事件的發(fā)生。

5.無人機(jī)造成地面操作和空管人員負(fù)擔(dān)加重等

近年來,無人機(jī)干擾民航飛機(jī)飛行的情況時(shí)有發(fā)生,導(dǎo)致空管人員不得不改變民航原來計(jì)劃好的飛行路線,此時(shí)無疑增加了空管人員的工作內(nèi)容,加重了工作負(fù)擔(dān)。對于此類危險(xiǎn)類型,采取的控制行動僅為限制無人機(jī)的活動空域,避免其與其他飛機(jī)的空間接觸。該類事件的不安全控制行為有:無人機(jī)失控;無人機(jī)的頻段與民航飛機(jī)的頻段臨近,導(dǎo)致出現(xiàn)兩者相互干擾的事件發(fā)生;未設(shè)置禁飛區(qū)。

最后的兩類危險(xiǎn)一般都作為附帶危險(xiǎn)出現(xiàn),所以它的不安全行為基本上就為前三類危險(xiǎn)的部分組合。

2.4.7不安全致因場景分析

前文分析出了三個(gè)控制回路的不安全控制行為,接下來對本次事故中出現(xiàn)的不安全控制行為分析致因場景。分析不安全致因場景就是對不安全控制行為的發(fā)生場景進(jìn)行分析,

目的是深入分析每一個(gè)不安全控制行為發(fā)生背后的原因。具體如圖2.15所示。

圖2.15不安全致因因素圖

(1)某軍無法獲得無人機(jī)的狀態(tài)信息,從而失去對無人機(jī)的控制權(quán)。此次不安全控制行為屬于人為失誤中的監(jiān)督不足,某軍飛行操縱員應(yīng)時(shí)刻注意對無人機(jī)進(jìn)行控制。

(2)空地通信設(shè)備阻斷了和地面指揮站之間的通信。通信設(shè)備(GPS衛(wèi)星)受到某國信號干擾,從而阻斷了信息傳遞。

(3)無人機(jī)處于失控狀態(tài)。在飛行前設(shè)置好